모든 사람이 리스크 관리에 AI를 원한다. 그러나 준비가 된 사람은 거의 없다

모두가 AI를 배포하기 위해 경쟁을 하고 있다. 그러나 제3자 리스크 관리(TPRM)에서는 그 경쟁이 모든 것의 가장 큰 리스크가 될 수 있다.

AI는 구조에 의존한다: 깨끗한 데이터, 표준화된 프로세스, 일관된 결과. 그러나 대부분의 TPRM 프로그램은 이러한 기초를欠하고 있다. 일부 조직은 전용 리스크 리더, 정의된 프로그램, 디지털화된 데이터를 가지고 있다. 다른 조직은 스프레드시트와 공유 드라이브를 통해 리스크를 관리한다. 일부는 엄격한 규제 감시 아래 운영되는 반면 다른 조직은 훨씬 더 큰 리스크를 감수한다. 두 프로그램은 같지 않으며 15년의 노력에도 불구하고 성숙도는 여전히 크게 다르다.

이러한 가변성은 TPRM에서 AI 채택이 속도 또는 통일성으로 발생하지 않음을 의미한다. 그것은 규율을 통해 발생할 것이며, 규율은 프로그램의 현재 상태, 목표, 리스크 감수 능력에 대해 현실적으로 생각하기에서 시작된다.

프로그램이 AI에 준비가 된지 확인하는 방법

모든 조직이 AI에 준비가 된 것은 아니다. 그리고 그것은 괜찮다. 최근 MIT 연구에 따르면 95%의 GenAI 프로젝트가 실패했다. 또한 Gartner에 따르면 79%의 기술 구매자가 최신 구매를 후회한다고 한다. 이유는 프로젝트가 제대로 계획되지 않았기 때문이다.

TPRM에서 AI 준비는 스위치를 켜는 것이 아니다. 그것은 진행 중이며 프로그램이 구조화된, 연결된, 관리되는 정도를 반영한다. 대부분의 조직은 ad hoc에서 agile까지 범위하는 성숙도 곡선의 어디쯤에 있다. 그리고 어디에 있는지 아는 것이 AI를 효과적으로, 책임감 있게 사용하는 첫 번째 단계이다.

초기 단계에서 리스크 프로그램은 대부분 수동으로 작동하며 스프레드시트, 기관의 기억, 분산된 소유권에 의존한다. 제3자 리스크에 대한 공식적인 방법론이나 일관된 감시가 거의 없다. 벤더 정보는 이메일 스레드 또는 몇몇 핵심 인원의 머릿속에 있을 수 있으며 프로세스는 작동한다. 그러나 작동하지 않을 때까지는 그렇다. 이러한 환경에서 AI는 노이즈와 통찰력을 구분하기 위해 어려움을 겪을 것이며 기술은 일관성을 제거하는 대신 증폭시킬 것이다.

프로그램이 성숙함에 따라 구조가 형성되기 시작한다: 워크플ロー는 표준화되고 데이터는 디지털화되며 책임은 부서 전체에 걸쳐 확대된다. 여기서 AI는 실제 가치를 추가하기 시작한다. 그러나 잘 정의된 프로그램은 종종 여전히 실로화되어 있으며 가시성과 통찰력을 제한한다.

진정한 준비는 실로가 깨질 때 나타난다. 그리고 거버넌스가 공유된다. 통합되고 민첩한 프로그램은 데이터, 자동화, 책임을 기업 전체에 걸쳐 연결하여 AI가 발판을 찾을 수 있도록 하며 연결되지 않은 정보를 지능으로 전환하고 더 빠르고 투명한 의사결정을 지원한다.

어디에 있는지, 어디로 가고 싶은지 이해함으로써 AI를輝く 약속에서 진정한 힘의 배가자로 전환하는 기초를 구축할 수 있다.

왜 하나의 크기가 모두에게 맞지 않는가, 프로그램 성숙도와 상관없이

두 회사가 모두 민첩한 리스크 프로그램을 가지고 있다고 해도 AI 구현을 위해 같은 코스를 설정하지도 않을 것이며 같은 결과를 보지도 않을 것이다. 모든 회사는 다른 제3자 네트워크를 관리하며 고유한 규제 아래 운영되며 다른 수준의 리스크를 감수한다.

예를 들어 은행은 제3자 아웃소싱 업체가 제공하는 서비스 내에서 데이터 개인 정보 보호 및 보호를 둘러싼 엄격한 규제 요구 사항을 직면한다. 오류, 중단 또는 보안 위반에 대한 리스크 감수 능력은 거의 없다. 소비재 제조업체는 유연성 또는 속도에 대한 운영 리스크를 더 많이 감수할 수 있지만 중요한 배달 일정에 영향을 미치는 중단을 감당할 수 없다.

각 조직의 리스크 감수 능력은 불확실성을 얼마나 받아들이는지, 목표를 달성하기 위해 얼마나 받아들이는지 정의한다. 그리고 TPRM에서 그 선은 끊임없이 이동한다. 따라서 오프-더-쉘프 AI 모델은 거의 작동하지 않는다. 가변성이 있는 공간에서 제네릭 모델을 적용하면 명확성 대신 블라인드 스폿을 생성한다. 따라서 더 목적 지향적이고 구성 가능한 솔루션이 필요하다.

AI에 대한 더 지능적인 접근 방식은 모듈러이다. 데이터가 강하고 목표가 명확한 곳에서 AI를 배포한 다음 확장한다. 일반적인 사용 사례에는 다음이 포함된다:

• 공급자 연구: AI를 사용하여 수천 명의 잠재적인 벤더를 필터링하여 가장 낮은 리스크, 가장 능력 있는 또는 가장 지속 가능한 파트너를 식별한다.
• 평가: AI를 적용하여 벤더 문서, 인증, 심사 증거를 평가한다. 모델은 리스크를 나타낼 수 있는 불일치 또는 이상을 플래그할 수 있으며 분석가는 가장 중요한 것에 집중할 수 있다.
• 복원력 계획: AI를 사용하여 중단의 리플 효과를 시뮬레이션한다. 특정 지역의 제재 또는 특정 재료에 대한 규제 금지는 공급망에 어떤 영향을 미칠까? AI는 복잡한 무역, 지리적, 의존성 데이터를 처리하여 결과를 모델링하고 경유 계획을 강화할 수 있다.

이러한 각 사용 사례는 의도적으로 배포되고 거버넌스에 의해 지원될 때 가치를 제공한다. TPRM 및 공급망 관리에서 AI를 성공적으로 사용하는 조직은 가장 많이 자동화하는 것이 아니다. 그들은 작은 규모로 시작하여 의도적으로 자동화하고 빈번하게 적응하는 조직이다.

TPRM에서 책임 있는 AI 구축

조직이 TPRM에서 AI를 실험하기 시작할 때, 가장 효과적인 프로그램은 혁신과 책임성을 균형 있게 유지한다. AI는 감시를 강화해야지 대체해서는 안 된다.

제3자 리스크 관리에서 성공은 벤더를 평가하는 속도만으로 측정되지 않는다. 그것은 리스크가 어떻게 정확하게 식별되고 어떻게 효과적으로 수정 조치가 구현되었는지에 의해 측정된다. 공급자가 실패하거나 규정 준수 문제가 헤드라인을 장식할 때, 누구도 프로세스가 얼마나 효율적인지 묻지 않는다. 그들은 그것이 어떻게 관리되었는지 묻는다.

그 질문, “어떻게 관리되었는가“는 빠르게 전 세계적으로 확산되고 있다. AI 채택이 가속화함에 따라 규제 기관은 매우 다른 방식으로 “책임 있는”이라는 의미를 정의하고 있다. EU AI 법안은 투명성과 고위험 시스템에 대한 책임성을 요구하는 위험 기반 프레임워크를 설정했다. 반면에 미국은 더 분산된 경로를 따르며 혁신과 함께 자발적인 표준을 강조하고 있다. NIST AI 리스크 관리 프레임워크와 같은 다른 지역, 일본, 중국, 브라질은 인간 권리, 감시, 국가 우선순위를 결합하여 AI 거버넌스의 고유한 모델을 개발하고 있다.

전 세계 기업을 위한 이러한 발전하는 접근 방식은 새로운 복잡성의 계층을 도입한다. 유럽에서 운영되는 벤더는 엄격한 보고 의무를 직면할 수 있지만 미국에서 운영되는 벤더는 더 느슨하지만 여전히 발전하는 기대치를 가질 수 있다. 각 “책임 있는 AI” 정의는 리스크를 평가, 모니터링, 설명하는 방식에 대한 세부 사항을 추가한다.

리스크 리더는 규제가 변경됨에 따라 유연한 거버넌스 구조가 필요하다. 그리고 투명성과 통제를 유지한다. 가장 발전된 프로그램은 TPRM 운영에 거버넌스를 직접 내장하여 AI 주도 의사 결정이 설명 가능하고 추적 가능하며 방어 가능하도록 한다. 어느 관할 구역에서든지.

시작하는 방법

책임 있는 AI를 현실로 만드는 것은 정책 성명서 이상을 의미한다. 그것은 올바른 기초를 놓는 것을 의미한다: 깨끗한 데이터, 명확한 책임, 지속적인 감시. 그것은 다음과 같다.

• 초기부터 표준화한다. 자동화 전에 일관된 데이터와 일치된 프로세스를 설정한다. 단계적인 접근 방식을 구현하여 리스크 프로그램에 AI를 단계적으로 통합한다. 각 단계를 테스트하고 검증하고 확장하기 전에 정제한다. 데이터 무결성, 개인 정보 보호, 투명성을 초기부터 협상 불가능한 것으로 만든다. 이유를 설명할 수 없거나 검증되지 않은 입력에 의존하는 AI는 리스크를 줄이는 대신 리스크를 도입한다.
• 작은 규모로 시작하고 자주 실험한다. 성공은 속도와 관련이 없다. 특정 문제에 AI를 적용하는 제어된 파일럿을 시작한다. 모델의 성능, 의사 결정, 책임을 문서화한다. 대부분의 생성 AI 프로젝트가 비즈니스 가치를 제공하지 못하는 것을 방지하는 중요한 도전, 데이터 품질, 개인 정보 보호, 규제 장벽을 식별하고 완화한다.
• 항상 거버넌스를 한다. AI는 중단을 예측해야지 더 많은 중단을 유발해서는 안 된다. AI를 다른 형태의 리스크와 같은 방식으로 처리한다. AI를 사용하는 조직과 제3자에 대한 명확한 정책과 내부 전문 지식을 평가한다. 규제가 전 세계적으로 발전함에 따라 투명성은 일정해야 한다. 리스크 리더는 모든 AI 주도 통찰력을 데이터 소스와 논리로 추적할 수 있어야 하며 의사 결정이 규제 기관, 이사회, 공공 등에서 검토를 견딜 수 있도록 해야 한다.

TPRM에서 AI에 대한 보편적인 청사진은 없다. 모든 회사의 성숙도, 규제 환경, 리스크 감수 능력은 AI가 구현되고 가치를 제공하는 방식을 형성할 것이다. 그러나 모든 프로그램은 의도적으로 구축되어야 한다. 준비가 된 것을 자동화하고 자동화된 것을 거버넌스한다. 기술과 기술을 둘러싼 규칙이 발전함에 따라 지속적으로 적응한다.